// CLUBIC — CYBERSECURITY
Microsoft corrige cinq failles de gravité maximale dans ses services cloud, toutes exploitables à distance
Microsoft a patché cinq vulnérabilités critiques dans plusieurs de ses services cloud, dont Entra ID, Exchange Online et Azure Arc. Toutes pouvaient être exploitées à distance, parfois sans même disposer d’un compte.
Microsoft a levé le voile sur une série de vulnérabilités particulièrement sévères dans ses services cloud. Exécution de code à distance, élévation de privilèges, accès à des ressources protégées : les conséquences variaient selon les produits, mais les cinq failles ont toutes reçu la note maximale de 10/10 sur l’échelle CVSS. Elles ont depuis été corrigées directement sur les infrastructures de Microsoft, sans intervention nécessaire côté client.
La faille la plus préoccupante concernait Entra ID. Référencée CVE-2026-69836, elle permettait à un attaquant non authentifié d’envoyer au service des données manipulées pour provoquer l’exécution de code à distance. Un problème d’autant plus sensible qu’Entra ID gère les identités et les droits d’accès à Microsoft 365, Azure et d’autres ressources cloud. En clair, une compromission pouvait donner accès à des comptes, applications ou services auxquels l’attaquant n’aurait pas dû pouvoir toucher.
Deux autres vulnérabilités, CVE-2026-65816 et CVE-2026-69555, affectaient Azure Arc. Elles pouvaient elles aussi être exploitées à distance sans authentification préalable pour obtenir des droits auxquels l’attaquant n’aurait normalement pas eu accès. Selon la faille exploitée, il pouvait alors consulter ou modifier des ressources protégées, voire compromettre leur disponibilité.
Même scénario avec CVE-2026-65801 dans Exchange Online. Cette faille de type SSRF permettait à un attaquant de faire envoyer par le service des requêtes qu’il n’aurait d’ordinaire pas été autorisé à lancer, jusqu’à obtenir des droits supplémentaires. Enfin, CVE-2026-65770 touchait Azure Managed Instance for Apache Cassandra. Une injection d’arguments de commande pouvait cette fois permettre d’exécuter du code à distance sur le système visé.
Microsoft ayant déjà déployé les correctifs sur ses propres infrastructures, les entreprises clientes n’ont rien à faire de leur côté.
La publication initiale des bulletins a toutefois suscité un petit vent de panique. Dans son premier avis, Redmond indiquait en effet que CVE-2026-69836, la faille affectant Entra ID, était déjà exploitée dans la nature. L’information a rapidement circulé, jusqu’à être reprise par le CERT-FR dans une alerte publiée le 21 août dernier.
Microsoft a depuis rectifié le tir. Dans une déclaration transmise à BleepingComputer, l’entreprise a reconnu que ce signalement résultait d’une erreur. Aucun signe d’exploitation active n’est donc connu à ce jour, et aucun code permettant d’exploiter publiquement ces cinq failles n’a, a priori, été diffusé.